Status NIS 2 w Finlandii
Czego wymaga dyrektywa, jak Finlandia ją wdraża i gdzie w tym obrazie znajdują się Traficom i NCSC-FI.
Przegląd
Dyrektywa NIS 2 jest warstwą unijną. Wiąże każde państwo członkowskie, w tym Finlandię, jednym minimalnym progiem dla podmiotów kluczowych i ważnych. Finlandia musi przenieść ten próg do prawa fińskiego i prowadzić pod nim nadzór.
Finlandia transponuje NIS 2 poprzez Cybersecurity Act (Kyberturvallisuuslaki, ustawa 124/2025). Parlament uchwalił ją 11 marca 2025 r. i weszła w życie 8 kwietnia 2025 r. To po unijnym terminie 17 października 2024 r. W dniu 7 maja 2025 r. Komisja Europejska wysłała Finlandii i osiemnastu innym państwom członkowskim uzasadnioną opinię za niezgłoszenie pełnej transpozycji w terminie.
Nadzór jest podzielony sektorowo. Fiński Urząd Transportu i Komunikacji, Traficom, nadzoruje największą grupę sektorów i mieści National Cyber Security Centre Finland (NCSC-FI), który jest krajowym CSIRT oraz pojedynczym punktem kontaktowym na mocy art. 8 ust. 3 dyrektywy. Obok Traficom Urząd ds. Energii (Energiavirasto), Fiński Urząd ds. Bezpieczeństwa i Chemikaliów (Tukes) oraz inne organy sektorowe nadzorują własne sektory. Bankowość i infrastruktura rynków finansowych podlegają DORA, a nie fińskiej Cybersecurity Act.
Dyrektywa unijna
Dyrektywa (UE) 2022/2555 (NIS 2)
Ogólnounijna dyrektywa o cyberbezpieczeństwie. Ustanawia obowiązki, które każde państwo członkowskie musi transponować, w tym test wielkości i sektora dla podmiotów kluczowych i ważnych.
Unijny akt wykonawczy
Rozporządzenie wykonawcze (UE) 2024/2690
Wymogi techniczne i metodyczne dla dostawców DNS, rejestrów TLD, dostawców chmury, centrów danych i CDN, dostawców usług zarządzanych (bezpieczeństwa), internetowych platform handlowych, wyszukiwarek, sieci społecznościowych i dostawców usług zaufania. Bezpośrednio stosowane w Finlandii, bez potrzeby transpozycji krajowej.
Fińska transpozycja
Cybersecurity Act 124/2025, obowiązujący od 8 kwietnia 2025 r.
Fińska transpozycja NIS 2. Horyzontalna ustawa o cyberbezpieczeństwie, która konsoliduje obowiązki wcześniej rozproszone w kilku ustawach sektorowych. Rozporządzenia i wytyczne Traficom uzupełniają szczegóły operacyjne.
Cybersecurity Act 124/2025
Wnosi obowiązki NIS 2 do prawa fińskiego. Definiuje podmioty kluczowe i ważne, uprawnienia nadzorcze, obowiązki powiadamiania o incydentach i kary. Szczegóły operacyjne wynikają z rozporządzeń i wytycznych Traficom.
Traficom i NCSC-FI
Traficom nadzoruje transport, infrastrukturę cyfrową, zarządzanie usługami ICT, przestrzeń kosmiczną, usługi pocztowe i kurierskie, dostawców cyfrowych, badania naukowe i produkcję pojazdów oraz mieści NCSC-FI jako krajowy CSIRT i pojedynczy punkt kontaktowy. Pozostałe sektory podlegają własnym organom, w szczególności Energiavirasto dla sieci energii elektrycznej, ciepłowniczych i gazowych oraz Tukes dla ropy, magazynowania gazu i rafinacji, produkcji wodoru, chemikaliów i części produkcji. Bankowość i infrastruktura rynków finansowych są objęte DORA.
Rejestracja i zgłaszanie
Fińskie podmioty musiały zarejestrować się u swojego nadzorcy sektorowego do 8 maja 2025 r. Zmiany w zarejestrowanych danych muszą być zgłaszane w ciągu dwóch tygodni. Poważne incydenty podlegają dyrektywie: wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie w ciągu 72 godzin, raport końcowy w ciągu jednego miesiąca. Wszystkie powiadomienia są przekazywane do CSIRT w NCSC-FI.
Prawo fińskie obowiązuje w Finlandii
Działalność na terytorium fińskim podlega fińskiej transpozycji. Niemiecki dyrektor zarządzający z fińską spółką zależną czyta dla tej spółki Cybersecurity Act 124/2025, a nie BSIG. Obowiązki dyrektywy są identyczne. Procedura, nadzorca i kary żyją w prawie fińskim.
Finlandia nie może zejść poniżej unijnego progu minimalnego
Dyrektywa jest instrumentem minimalnej harmonizacji. Finlandia może być surowsza. Finlandia nie może zejść poniżej dyrektywy, ani co do obowiązków podmiotów kluczowych i ważnych, ani co do terminów zgłaszania, ani co do odpowiedzialności organu zarządzającego.
Traficom
Fiński Urząd Transportu i Komunikacji bezpośrednio nadzoruje transport, infrastrukturę cyfrową, zarządzanie usługami ICT, przestrzeń kosmiczną, usługi pocztowe i kurierskie, dostawców cyfrowych, badania naukowe oraz produkcję pojazdów i sprzętu transportowego, a na podstawie odrębnej ustawy także administrację publiczną. Jak każdy fiński nadzorca, prowadzi listę podmiotów dla własnych sektorów.
NCSC-FI (Kyberturvallisuuskeskus)
National Cyber Security Centre wewnątrz Traficom jest krajowym CSIRT i pojedynczym punktem kontaktowym na mocy art. 8 ust. 3 dyrektywy. Poważny incydent jest prawnie zgłaszany właściwemu nadzorcy sektorowemu, który niezwłocznie przekazuje go do NCSC-FI; w praktyce jeden wspólny formularz Traficom trafia jednocześnie do nadzorcy, CSIRT i pojedynczego punktu kontaktowego.
ENISA
Unijna agencja cyberbezpieczeństwa. Publikuje wytyczne, prowadzi europejską bazę danych o podatnościach i koordynuje transgranicznie. Nie jest nadzorcą fińskich podmiotów. To spoczywa na Traficom i organach sektorowych.
Finlandia wdraża NIS 2 tak samo jak Niemcy, więc możemy czytać BSIG.
Obowiązki dyrektywy są identyczne, architektura nadzorcza nie. Finlandia stosuje jedną horyzontalną ustawę, Cybersecurity Act 124/2025, zamiast nadbudowywać na federalnej strukturze BSI. Nadzór jest podzielony między regulatorów sektorowych, a Traficom i NCSC-FI koordynują. Nałożenie BSIG na Finlandię prowadzi do błędnego wskazania nadzorcy i ścieżki zgłaszania.
Nie ma jeszcze oficjalnej listy, więc możemy poczekać.
Rejestracja jest obowiązkowa od 8 kwietnia 2025 r., a początkowy termin upłynął 8 maja 2025 r. Każdy nadzorca sektorowy prowadzi listę podmiotów NIS 2 w swoich sektorach. Brak rejestracji nie oznacza zgodności, oznacza niewidoczność dla nadzorcy. Zmiany zarejestrowanych danych należy zgłaszać w ciągu dwóch tygodni (art. 3 ust. 4 NIS 2, § 41 fińskiej ustawy).
Mój regulator sektorowy zajmuje się wszystkim, NCSC-FI jest tylko doradczy.
Organ sektorowy prowadzi nadzór i audyty, a także to do niego prawnie zgłasza się poważny incydent. Nadzorca niezwłocznie przekazuje każde zgłoszenie do CSIRT w NCSC-FI, a w praktyce jeden wspólny formularz Traficom dostarcza zgłoszenie jednocześnie do nadzorcy, CSIRT i pojedynczego punktu kontaktowego. Korzystaj z tego formularza zamiast pisać ręcznie do jednego organu.
Większość fińskich operatorów średniej wielkości, których spotykamy, wciąż traktuje NIS 2 jako temat IT. To tylko w połowie prawda. Nadzór i kanał zgłaszania znajdują się na poziomie sektora, zakres jest szerszy niż w starym fińskim reżimie cyberbezpieczeństwa, a organ zarządzający (toimitusjohtaja, hallitus) ponosi cięższą odpowiedzialność. Organ zarządzający zatwierdza i nadzoruje procedurę zarządzania ryzykiem i musi mieć odpowiednią znajomość zarządzania ryzykiem w cyberbezpieczeństwie; w podmiotach kluczowych powtarzające się poważne naruszenia mogą prowadzić do czasowego zakazu zasiadania w organie.
Praktyczny krok jest taki sam jak wszędzie w UE: przeprowadź sprawdzenie stosowalności względem dyrektywy, zarejestruj się u nadzorcy sektorowego i pojaw się na jego liście podmiotów, ustanów cztery ciągłe obowiązki (utrzymywanie danych rejestracyjnych na bieżąco, zgłaszanie incydentów, ryzyko łańcucha dostaw, nadzór przez organ zarządzający) i udokumentuj minimum. Korzystanie ze wspólnego formularza zgłoszeniowego Traficom utrzymuje ścieżkę zgłaszania czystą.
- Dyrektywa (UE) 2022/2555 (NIS 2): EUR-Lex
- Rozporządzenie wykonawcze (UE) 2024/2690
- Cybersecurity Act 124/2025 (Kyberturvallisuuslaki): Finlex
- Traficom: Fiński Urząd Transportu i Komunikacji, oficjalna strona transpozycji NIS 2
- Kyberturvallisuuskeskus (NCSC-FI): krajowy CSIRT i pojedynczy punkt kontaktowy
- Energiavirasto: nadzorca sektorowy dla energii elektrycznej, ciepła sieciowego i gazu
- Tukes (Fiński Urząd ds. Bezpieczeństwa i Chemikaliów): nadzorca sektorowy dla ropy, magazynowania gazu, produkcji wodoru, chemikaliów i części produkcji
- Uzasadniona opinia Komisji Europejskiej z dnia 7 maja 2025 r. w sprawie transpozycji NIS 2
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
